Internet só funciona coa aplicación VPN? Comproba catro capas

Probas un cliente VPN gratuíto ou unha extensión do navegador durante unha semana, desactívalo, e internet detense. A icona Wi-Fi segue amosando conexión, outros dispositivos do mesmo router funcionan ben, e o único que devolve a navegación é reactivar a aplicación ou desinstalala. Ese patrón non é un cifrado que cree dependencia. Son axustes que a aplicación escribiu nalgures que o túnel non posúe.

O cliente modifica axustes que o túnel non posúe

Un cliente de privacidade en Windows ou macOS adoita tocar tres lugares á vez. Define o proxy HTTP do sistema, o mesmo campo que expón Internet Options. Instala un adaptador virtual, a miúdo un controlador TAP, para poder capturar paquetes. E reescribe a lista de resolutores, aínda que só desaparece o túnel cando premes desconectar.

Unha extensión do navegador é algo máis estreito. Normalmente cambia o seu propio perfil ou o proxy que segue un navegador. Por iso un só navegador pode fallar mentres as ferramentas de liña de ordes seguen funcionando, ou ao revés: a extensión nunca tivo autoridade para tocar as outras capas. Que capa editou decide que ferramentas rompen.

En calquera caso, a decisión obsoleta tomouna un software que non tiña motivo para desfacela. O túnel era a parte visible, e tamén era a única parte cunha ruta de apagado limpa. Todo o demais é un axuste nun almacén que sobrevive ao proceso, así que desinstalar a aplicación é o único paso que desfai os tres á vez. Ler eses almacéns antes de reinstalar calquera cousa é o que converte o síntoma en diagnóstico.

Tres restos, tres fallos diferentes

O primeiro resto é un proxy que apunta a nada: a caixa do proxy da LAN segue marcada, ou o URL dun script de configuración apunta a un porto localhost onde xa ningún proceso escoita. O navegador envía cada solicitude a ese porto morto e bloquease ata que o tempo de espera parece unha rede morta. O segundo é un adaptador que aínda posúe unha ruta predeterminada, porque un dispositivo TAP-Windows ou un controlador de enrutamento do provedor segue sendo unha interface real despois dunha desinstalación. Conserva a ruta que se lle deu, e o tráfico desaparece nun túnel que non está. Ningún dos dous restos se anuncia; ambos parecen exactamente unha avaría.

O terceiro é o DNS, e falla antes ca os outros dous. Se a lista de resolutores só contén servidores alcanzables polo túnel, cada consulta caduca antes de que se solicite unha soa páxina, así que o navegador informa dun sitio inalcanzable en vez dun proxy morto. Calquera que teñas, ningún é unha avaría no sentido da rede. Cada un é un resto que ninguén revogou, e cada un repárase nun lugar distinto.

Baixa polas catro capas

Comeza o máis preto da aplicación e baixa, porque as capas fallan nesa orde de visibilidade. Cambia unha capa por proba, e volve probar despois de cada unha. Restablecer todo á vez adoita devolver a navegación, e déixache incapaz de dicir que resto o causou, así que a seguinte instalación recrea o mesmo crebacabezas. A orde é proxy, adaptadores, rutas, resolutores.

En Windows cada comprobación é unha única orde que vén co sistema operativo, así que non hai que instalar nada. Execútaas en orde e mantén as saídas xuntas, porque as catro respostas só teñen sentido lado a lado. Informan do proxy, dos adaptadores, das rutas IPv4 e da lista de resolutores, nesa orde:

netsh winhttp show proxy
Get-NetAdapter
route print -4
Get-DnsClientServerAddress

Linux e macOS necesitan as súas propias ordes, e non son intercambiables. En Linux as rutas veñen de ip route e os resolutores de resolvectl status onde systemd-resolved é o propietario, con cat /etc/resolv.conf como recurso. En macOS as rutas veñen de netstat -rn, os resolutores de scutil --dns, e o proxy do sistema de scutil --proxy. Un lector de macOS que execute ip route recibe command not found, e /etc/resolv.conf alí é un esbozo xerado en vez da configuración autoritativa. Comproba a plataforma antes de comprobar a capa, ou a primeira orde convértese no achado.

Para cada capa fai unha pregunta: este valor aínda apunta a algo que existe coa aplicación pechada? Un proxy nun porto morto, un adaptador sen túnel, unha ruta predeterminada por unha interface baixa e un resolutor dentro do túnel responden todos que non. Calquera «non» abonda para explicar o síntoma, e por iso importa un cambio por proba.

Un proxy non é un túnel

Un proxy acepta unha solicitude, tráea doutro lugar e devolve a resposta, o que significa que coñece o destino e ve todo o que o sitio non cifrou el mesmo. Non transporta outros protocolos. Non protexe o camiño a menos que o destino xa use TLS. E pode ser cambiado por quen o instalou, sen a túa intervención.

Esa distinción cambia a pregunta que paga a pena facer. Cando queda un proxy, descubre que programa aínda dirixe o teu navegador en vez de se o túnel está arriba. O túnel pode estar perfectamente san e ser completamente irrelevante para o fallo.

Se queres saber que fixo realmente un cliente así, obsérvao en vez de ler o seu panel. Process Monitor rexistra que claves do rexistro e que ficheiros toca, mentres que unha captura de paquetes revela a onde foi o seu tráfico. Ambos son ferramentas comúns, e ambos responden mellor ca calquera luz de estado á pregunta do resto. Ningún esixe que a aplicación siga en execución.

Retira o compoñente, non a evidencia

A corrección duradeira é retirar o que escribiu o axuste. Desinstala a aplicación, borra o adaptador virtual que engadiu, limpa o proxy e a lista de resolutores, despois reinicia e proba coa aplicación aínda desinstalada. Se a navegación funciona nese punto, atopaches a causa en vez dunha solución temporal. Anota que capa estaba obsoleta, porque o mesmo provedor adoita entregar o mesmo erro dúas veces.

Se o síntoma volve despois de instalar o seguinte cliente, percorre as catro capas outra vez antes de decidir que o servizo rompeu algo. A evidencia adoita seguir alí, nun dos catro lugares. Unha segunda aplicación non crea unha quinta capa; edita unha das catro.

Reinstalar restablece o proxy pero non un adaptador obsoleto, e pode deixar dous resolutores na lista. Esa asimetría é por que desinstalar e probar gaña a un botón de restablecer todo. Tamén che dá unha liña base coa que comparar a próxima vez que caia a conexión.